Tech Flash Daily (10 novembre 2026): Chrome, patch urgente per una falla già sfruttata

Admin - 10 Novembre 2026 - Tempo di lettura: 8 minuti

Oggi si parte con un aggiornamento da fare subito: Google ha corretto in Chrome una vulnerabilità che qualcuno sta già usando per attaccare. Apple ha aggiornato iPhone, Mac, Watch e gli altri dispositivi, mentre in Italia tiene banco il presunto furto di documenti della DIA. E stasera è Patch Tuesday: Windows riceverà gli aggiornamenti di sicurezza di novembre.

Avvisi di sicurezza

• Google Chrome — CVE-2026-125350, gravità alta, sfruttata attivamente: aggiornare a 157.0.8103.50/.51 (Windows e Mac), 157.0.8103.50 (Linux e Android). Fonte
• OpenSSH su Linux ("SSHole") — CVE-2026-123158, CVSS 8.1, aggiunta al catalogo CISA KEV il 9 novembre: aggiornare a OpenSSH 10.6p2. Fonte
• IBM Aspera Faspex (CVE-2026-123218, CVSS 9.8), SignalWire FreeSWITCH (CVE-2026-116779, CVSS 9.8), GPUStack (CVE-2026-102895, CVSS 9.8) — anche queste in CISA KEV dal 9 novembre, sfruttate attivamente: applicare le patch già disponibili.
• N-able N-central — ambienti cloud spenti dal 9 novembre dopo la pubblicazione di 33 presunte falle ("Able2Shell"); chi ha server on-premise deve tenerli offline finché N-able non dà il via libera. Fonte

Occhio alla truffa

Ancora in giro i finti SMS a nome Nexi. La Polizia Postale ha rinnovato il 9 novembre l'allarme sulla campagna già segnalata da CERT-AgID: un SMS avvisa di un pagamento sospetto o di una carta bloccata e invita a chiamare un numero. Al telefono risponde un finto operatore che chiede PIN, codici OTP e credenziali dell'home banking. In alcuni casi il numero che chiama sembra quello vero (spoofing).

• Chi è coinvolto: chiunque abbia una carta di pagamento, cliente Nexi o no.
• Come riconoscerla: urgenza, un numero da chiamare dentro l'SMS, richiesta di codici. Nessuna banca chiede OTP o PIN al telefono.
• Cosa fare subito: non chiamare il numero dell'SMS; controlla i movimenti nell'app ufficiale; se hai già dato dei codici, blocca la carta col numero verde scritto sul retro e segnala su commissariatodips.it. Fonte

Chrome, l'ottava falla "zero-day" del 2026: aggiornate subito

Il 9 novembre Google ha rilasciato Chrome 157 con nove correzioni di sicurezza. La più grave è la CVE-2026-125350, un errore di gestione della memoria ("use-after-free") nel componente che legge i dati XML: Google conferma che esiste già un exploit usato in attacchi reali. È quella che si chiama una falla "zero-day", cioè sfruttata prima che ci fosse la patch, ed è l'ottava di quest'anno per Chrome. Google non ha detto chi sia stato colpito né come. Le versioni corrette sono 157.0.8103.50/.51 su Windows e Mac e 157.0.8103.50 su Linux e Android; sul Play Store l'aggiornamento arriva a scaglioni nei prossimi giorni.

Perché conta: Chrome è il browser più usato, e basta visitare una pagina malevola. Su PC apri Menu → Guida → Informazioni su Google Chrome e riavvia; su Android aggiorna dal Play Store. Lo stesso motore è alla base di altri browser: tieni d'occhio anche i loro aggiornamenti.

Fonti: SecurityWeek, AndroidPure

Apple aggiorna tutto: arriva la versione 27.2.1

Apple ha distribuito il 9 novembre iOS 27.2.1, iPadOS 27.2.1, macOS Golden Gate 27.2.1, watchOS, tvOS e visionOS 27.2.1, più aggiornamenti di sicurezza per chi è rimasto alle versioni precedenti (iOS e iPadOS 26.7.3 e 18.7.12). Le note ufficiali parlano solo di "correzioni di bug e aggiornamenti di sicurezza", e al momento Apple non ha pubblicato l'elenco delle vulnerabilità corrette. Secondo MacRumors, su Mac potrebbe esserci anche il blocco dei certificati web compromessi dell'autorità eMudhra, ma è una loro ipotesi.

Perché conta: quando Apple tace sui dettagli, conviene comunque aggiornare: è un rilascio piccolo e veloce. Su iPhone e iPad: Impostazioni → Generali → Aggiornamento software. Per l'Apple Watch serve il caricatore e almeno il 50% di batteria.

Fonti: MacRumors, MacDailyNews

Presunti documenti della DIA in vendita, il Viminale: "Nessuna violazione"

Su un forum del cybercrimine un utente chiamato "weykofa" offre in vendita 302 file, circa 220 MB, che attribuisce alla Direzione Investigativa Antimafia: archivi operativi, comunicati non pubblicati, curricula di dirigenti. Il ministro dell'Interno Piantedosi ha detto che le verifiche finora non mostrano compromissioni dei sistemi né furti di dati riservati; secondo alcune fonti sarebbe stata copiata solo una parte del sito con informazioni già pubbliche. I controlli tecnici continuano. Intanto l'ACN conta 3.271 eventi di sicurezza informatica nei primi nove mesi del 2026, più dei 2.729 di tutto il 2025.

Perché conta: dopo una rivendicazione così circolano spesso link a "campioni" e finte email a tema: non scaricare nulla e diffida dei messaggi che sfruttano la notizia.

Fonti: Euronews, Red Hot Cyber

"SSHole": falla in OpenSSH sfruttata sui server Linux

La CISA ha inserito nel catalogo delle vulnerabilità sfruttate (KEV) la CVE-2026-123158 di OpenSSH, il programma che permette di collegarsi da remoto a server e computer Linux. La falla (CVSS 8.1) consente di aggirare l'autenticazione in certe condizioni. I ricercatori di GreyNoise hanno visto i primi tentativi il 7 novembre e casi in cui gli aggressori hanno cercato chiavi e password e aggiunto proprie chiavi di accesso; watchTowr segnala l'uso per botnet e mining di criptovalute. La correzione è in OpenSSH 10.6p2.

Perché conta: è soprattutto un tema aziendale, ma riguarda anche chi ha un mini server, un Raspberry Pi o un NAS raggiungibile da Internet via SSH. Aggiorna il sistema e, se non ti serve, chiudi l'accesso SSH dall'esterno.

Fonte: The Hacker News

Il consiglio di oggi: dedica cinque minuti agli aggiornamenti. Riavvia Chrome, aggiorna iPhone e Mac e stasera lascia che Windows installi le patch del Patch Tuesday. E tu, aggiorni subito o rimandi finché il telefono non insiste? Raccontacelo nei commenti.